--- title: "CVE-2026-25253 trong OpenClaw: Hồ sơ vụ việc và bản vá · AgentDots" description: "CVE-2026-25253 cho phép trang web độc hại đánh cắp token cổng OpenClaw bằng cách chiếm quyền WebSocket xuyên trang, kể cả trên localhost. Vì sao phiên bản 2026.1.29 quan trọng." url: https://agentdots.org/vi/incidents/openclaw-cve-2026-25253/ lang: vi --- Nhật ký sự cố · Lỗ hổng bảo mật # CVE-2026-25253: Trang web chiếm quyền OpenClaw Thông qua việc chiếm quyền WebSocket xuyên trang, trang web độc hại có thể lấy token cổng OpenClaw và chiếm quyền phiên bản đang chạy, ngay cả khi cổng chỉ lắng nghe trên localhost. 30 tháng 1, 2026 CaoOpenClaw Cuối tháng Một, Conscia mô tả CVE-2026-25253, một lỗ hổng cho phép trang web độc hại trao quyền kiểm soát một phiên bản OpenClaw cho kẻ tấn công. Trang web dùng kỹ thuật chiếm quyền WebSocket xuyên trang để lấy token cổng; có được token, kẻ tấn công có thể chiếm quyền tác nhân. Lỗ hổng này làm lung lay một giả định khiến nhiều người yên tâm: cổng chỉ lắng nghe trên localhost thì không thể bị tiếp cận. Cuộc tấn công đi qua chính trình duyệt của chủ sở hữu, trên cùng một máy tính, nên ranh giới loopback không mang lại sự bảo vệ nào. Đây là sự cố thực thi mã từ xa chỉ bằng một cú nhấp chuột đã phủ bóng lên các bản phát hành đầu tiên của OpenClaw. Phiên bản 2026.1.29 đã vá lỗ hổng này cùng với hai lỗi chèn lệnh. Đây là một trong nhiều sự cố nghiêm trọng liên quan đến OpenClaw trong năm nay, tiếp sau các cổng bị lộ hồi tháng Hai và Claw Chain hồi tháng Tư. ## Đối tượng bị ảnh hưởng Người dùng OpenClaw phiên bản cũ hơn 2026.1.29 Bài học: Chạy tác nhân trên phần cứng của riêng bạn không đảm bảo an toàn. Hãy bật cập nhật tự động và bảo vệ token cổng cẩn thận như mật khẩu. **Nguồn** - [Conscia](https://conscia.com/blog/the-openclaw-security-crisis/) [OpenClaw](https://agentdots.org/vi/agents/openclaw/) An toàn [Làm lần lượt 18 mục trong danh sách kiểm tra →](https://agentdots.org/vi/safety/checklist/) ## Nhật ký sự cố 28 tháng 9, 2026 [GPT-6.1 Astra bị rút lại sau khi trượt các bài kiểm tra của chính mình](https://agentdots.org/vi/incidents/astra-launch-halted/) 28 tháng 9, 2026 [Muse tiết lộ địa chỉ nhà của người bán cho người lạ](https://agentdots.org/vi/incidents/muse-shared-home-address/) 25 tháng 9, 2026 [Agent nghiên cứu đăng 53 ảnh của người dùng lên các trang lưu trữ công khai](https://agentdots.org/vi/incidents/research-agents-posted-images/) 25 tháng 9, 2026 [Lỗ hổng có thể mở đường vào các máy Muse](https://agentdots.org/vi/incidents/muse-vm-vulnerability/) 20 tháng 9, 2026 [Amazon đóng cửa hàng với Muse của Meta](https://agentdots.org/vi/incidents/amazon-blocks-muse/)